查询哪些App和网站登录过你的Google账号（以及如何撤销授权）

每次你在某个App或网站上点“用Google账号登录”，你授予的不只是这一次登录——而是给了这个App对你Google账号的长期访问权限，这个权限会一直有效，直到你手动撤销为止。大多数人从来没查过这个列表，而它往往会积攒好几年：2019年试用过一次的App、忘了卸载的浏览器插件、参加黑客松时随手授权过通讯录的项目。这篇文章讲清楚具体去哪查、怎么清理。

去哪查看所有连接过你Google账号的App

打开**myaccount.google.com/permissions**（或者：Google账号 → 安全性 →“拥有账号访问权限的第三方应用”）。

这个页面列出了所有曾经获得过你Google账号OAuth授权的App和网站——不只是你正在用的那些。点开任意一条，能看到它具体能访问什么：你的邮箱地址、头像、通讯录、Google Drive文件、日历，或者（比较少见，但值得留意）完整账号访问权限。

各级权限具体代表什么

Google把访问权限大致分了几档，差别很重要：

基础个人资料信息（姓名、邮箱、头像）——风险较低，几乎所有“用Google登录”按钮都会申请这个，相当于App知道你是谁。
查看、编辑、创建或删除你的Google Drive文件——这是明显更大的授权。有这个权限的App能读到你从未打算分享给它的文档。
读取、发送、删除、管理你的邮箱——最高风险的常见权限。真正合法需要这个权限的App很少，如果发现一个不认识的App拥有它，应该立刻撤销。
完整账号访问权限——一般只留给账号找回或迁移工具用。这个清单理应极短，理想情况下除了你主动设置过的工具，应该是空的。

怎么撤销授权

在权限页面点开任何一个不再使用或不认识的App，点击**“移除访问权限”**。这会立即让该App的OAuth令牌失效——它无法再读取你的数据，如果之后还需要访问，必须重新明确授权一次。

撤销授权不会删除该App在撤销之前已经下载或存储在自己服务器上的数据——它只能阻止之后的访问。如果一个App曾经能访问敏感数据，你不确定它拿这些数据做了什么，那是另一个问题，需要看那个App自己的隐私政策，不是Google的撤销按钮能解决的。

别只查App，也要查设备

还有一个相关但独立的页面，myaccount.google.com/device-activity，列出了当前所有登录着你Google账号的设备：手机、笔记本、智能电视，什么都有。如果看到一个你不认识的设备，或者一台你几年前卖掉/送人了但还挂在列表里的设备，点开它选择**“退出登录”**。这是在你哪怕只是隐约怀疑密码可能已经泄露之后，最值得做的一件事——它能立刻踢掉攻击者可能持有的任何会话，不需要等你先改完密码才生效。

一个值得重复做的五分钟例行检查

打开**myaccount.google.com/permissions**，扫一遍列表，把不再用或不认识的App全部移除。
打开**myaccount.google.com/device-activity**，把不认识的设备全部退出登录。
如果不确定你在别处用的某个密码是否已经泄露，可以用密码泄露查询工具查一下——它对照真实泄露数据做检测，但全程不会把你的真实密码发送出去。

这些操作都不需要安装任何东西，也不需要把账号信任交给第三方——全部都是Google自带的设置功能，花的时间比读完这篇文章还短。